クラウドの脅威はプロバイダ起因から利用者起因にシフト…CSAJの11大脅威 | ScanNetSecurity
2024.03.19(火)

クラウドの脅威はプロバイダ起因から利用者起因にシフト…CSAJの11大脅威

CSA(Cloud Security Alliance)は、クラウド黎明期の2009年から活動している団体。これまで4回、「クラウドの重大セキュリティ脅威 11の悪質な脅威」という文書を公開し、業界や利用者にクラウドセキュリティの重要性を説いている。

研修・セミナー・カンファレンス
CSA:クラウドの重大セキュリティ脅威 11の悪質な脅威
  • CSA:クラウドの重大セキュリティ脅威 11の悪質な脅威
  • CSAJ理事 諸角昌宏氏
  • CSA:クラウドの重大セキュリティ脅威 11の悪質な脅威
CSA(Cloud Security Alliance)は、クラウド黎明期の2009年から活動している団体。これまで4回、「クラウドの重大セキュリティ脅威 11の悪質な脅威」という文書を公開し、業界や利用者にクラウドセキュリティの重要性を説いている。

この文書は2019年版が最新で、日本語訳は2020年に日本クラウドセキュリティアライアンス(CSAJ)によって公開されている。最新版の同文書と2017年版を比較すると、クラウドセキュリティについてひとつの大きな変化が見て取れる。

●システムとして堅牢なクラウドは人間のオペレーションが弱点
これまでクラウド関連のインシデントの原因、あるいはクラウドセキュリティの課題は、主にクラウドプロバイダーに起因するもの、プロバイダー視点の課題が多かった。しかし、2019年版の文書では、近年のクラウドインシデントのほとんどが利用者の設定ミスや管理ミスによって生じるものだという。

SaaSやクラウドがトレンドワードとして広がった2000年代半ば、「クラウドはセキュリティが不安」が常識だった。業界もこの問題を認識しており、改善に取り組んだ。その結果、DXなどのトレンドを持ち出さずとも、クラウドは企業システムやサービスにおいて普通の選択肢になっている。セキュリティの専門家でも、中途半端な投資でオンプレミスシステムを構築するより、クラウドサービスを利用したシステムのほうが、何倍もセキュアで信頼性が高いことを知っている。

プロバイダ側の信頼性やセキュリティが向上する一方、利用者側のリテラシー不足や運用ミスによる情報漏えい、意図しない機密情報の公開、内部犯行、運用・設定ミスによるシステムダウンが増えているのが現状だ。

CSAJ理事のひとりである諸角昌宏氏は、「2017年版の文書では、11の悪質な脅威のうち、プロバイダ起因、利用者起因に分類可能なものがそれぞれ3つずつ該当していたが、2019年版では、プロバイダ起因がゼロに、利用者起因が5つに増えている」と指摘する。

●CSAが指摘する11の悪質な脅威と対策の基本
2019年版で指摘された11の悪質な脅威について、具体的にどういうものかを見ていこう。

1:データ侵害
クラウドの実体は堅牢なデータセンターなので、物理的にもネットワーク的にも侵入やデータ窃取は難しいが、利用者アカウントやその接続口がアタックサーフェスとなっている。アカウント管理や認証強化、暗号化や分散管理が課題であり対策ポイントでもある。

2:設定ミスと不適切な変更管理
AWSの設定ミスにより情報が誰でもみられるようになっていた、というインシデントが問題になっている。従来型のインフラを防御するセキュリティ、境界セキュリティから、データを基準としたデータセキュリティへのシフトが叫ばれている。

3:クラウドセキュリティアーキテクチャと戦略の欠如
クラウドファーストの時代、フォークリフト式にオンプレミス環境をそのままクラウドに移行させるだけでは不十分で、セキュリティ対策をクラウド指向に設計しなおさなければならない。利用者はシステム設計に加え、入念なデューデリジェンス(事前調査)が必要だ。

4:クレデンシャル情報の管理(ID・鍵)
アクセス制御や認証は、データセキュリティの根幹をなす技術だ。ID情報や鍵の管理はユーザーの役割や権限のロールベース(RBAC:Roll Base Access Control)から、場所、デバイスなど属性ベース(ABAC:Attribute Base Access Control)への認証粒度の変更が必要。
《中尾 真二( Shinji Nakao )》

編集部おすすめの記事

特集

研修・セミナー・カンファレンス アクセスランキング

  1. サイバー攻撃 はじまりはいつも OSINT ~ 日本ハッカー協会 杉浦氏講演

    サイバー攻撃 はじまりはいつも OSINT ~ 日本ハッカー協会 杉浦氏講演

  2. パナソニック他 大手が続々「Cloudbase」を採用、日本人が日本企業のために作るクラウドセキュリティプラットフォーム

    パナソニック他 大手が続々「Cloudbase」を採用、日本人が日本企業のために作るクラウドセキュリティプラットフォーム

  3. フィッシング対策協議会、Google と 米Yahoo の送信者向けガイドライン解説資料ほか 公開

    フィッシング対策協議会、Google と 米Yahoo の送信者向けガイドライン解説資料ほか 公開

  4. 「10年後の予測より今足元にある課題解決」~ 情シス信頼のブランド ソリトンシステムズ Security Days Spring 2024 四講演紹介

  5. ソリトンシステムズ「準備はできている」~多要素認証ニーズの変化はサプライチェーンリスク対策

  6. Google & 米Yahoo! の迷惑メール対策強化について~ JPAAWG 緊急ウェビナーで喫緊課題への具体的な疑問が続出

  7. ビジネス OSINT とは何か? 経営に正しく役立てる方法 ~ 日本ハッカー協会 代表理事 杉浦氏講演

  8. 到来する「脆弱性対策義務化時代」に脆弱性管理サービス「SIDfm」が果たす役割

  9. 新しい総務省ガイドラインに適合する「クラウドのデータ消去」とは? 自治体で行われた実証実験 結果報告

  10. TwoFive「NTTドコモに聞く DMARCのメリットとは」12/20 開催

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×